Session 是用戶登錄系統開發中最常見的認證方式，適合中小型 web 應用。1. session 是服務器端記錄用戶狀態的機制，通過生成唯一 session id 并存儲在客戶端 Cookie 中實現用戶識別；2. 實現流程包括用戶提交信息、后端驗證并創建 session、返回 session id、后續請求攜帶 id、后端獲取用戶信息；3. 在 node.JS + express 中可通過 express-session 實現，包括安裝依賴、配置中間件、登錄接口設置 session 及其他接口檢查登錄狀態；4. 部署時需注意 session 持久化存儲（如 redis）、設置合理過期時間、處理跨域問題等關鍵點；5. 與 jwt 相比，session 更適合中小型應用，而 jwt 更適合 api 接口及分布式架構。
用戶登錄系統開發中最常見的認證方式之一就是使用 Session。它簡單、安全，適合大多數中小型 Web 應用。如果你剛開始做后端開發，或者想快速搭建一個帶登錄功能的系統，Session 是個不錯的選擇。
下面我來詳細講講怎么一步步實現基于 Session 的用戶登錄系統。
一、什么是 Session？為什么適合做登錄
Session 是服務器端用來記錄用戶狀態的一種機制。當用戶第一次登錄成功后，服務器會創建一個唯一的 Session ID，并把這個 ID 返回給客戶端（通常是通過 Cookie）。之后每次請求，客戶端都會帶上這個 Session ID，服務器就能識別出是哪個用戶在操作。
相比 Token（比如 JWT），Session 更容易管理，尤其是對新手來說，不需要處理加密簽名和過期時間等復雜問題。
常見流程如下：
- 用戶提交用戶名和密碼
- 后端驗證無誤后創建 Session
- 將 Session ID 存入 Cookie 返回給瀏覽器
- 瀏覽器后續請求自動帶上該 Cookie
- 后端根據 Session ID 獲取用戶信息
二、如何在代碼中實現 Session 登錄
不同語言和框架的實現略有差異，但大致思路一致。以 Node.js + Express 框架為例，可以使用 express-session 這個中間件。
基本步驟：
- 安裝依賴：npm install express-session
- 配置 session 中間件：
const session = require('express-session'); app.use(session({ secret: 'your-secret-key', // 加密用的密鑰 resave: false, // 是否每次請求都重新保存 session saveUninitialized: true, // 是否保存未初始化的 session cookie: { secure: false } // 開發環境設為 false，生產建議啟用 HTTPS 并設為 true }));
- 登錄接口中設置 session：
app.post('/login', (req, res) => { const { username, password } = req.body; // 假設從數據庫查到用戶 if (validUser(username, password)) { req.session.user = { username }; // 把用戶信息存進 session res.send({ success: true }); } else { res.status(401).send({ error: '用戶名或密碼錯誤' }); } });
- 其他接口檢查是否登錄：
function ensureAuthenticated(req, res, next) { if (req.session.user) { return next(); } res.status(401).send({ error: '請先登錄' }); } app.get('/profile', ensureAuthenticated, (req, res) => { res.send({ user: req.session.user }); });
三、Session 認證需要注意的關鍵點
雖然 Session 實現起來不難，但在實際部署時有幾個細節很容易被忽略。
1. Session 存儲方式要持久化
默認情況下，Session 數據存在內存里，一旦服務重啟數據就會丟失。建議使用 redis 或 mongodb 等外部存儲。
例如使用 connect-redis：
const redisStore = require('connect-redis')(session); app.use(session({ store: new RedisStore({ host: 'localhost', port: 6379 }), secret: 'your-secret', resave: false, saveUninitialized: true }));
2. 設置合理的過期時間
可以通過 cookie 的 maxAge 設置 Session 有效期：
cookie: { maxAge: 1000 * 60 * 60 * 24 * 7, // 一周 secure: false }
這樣用戶不用頻繁登錄，也避免了 Session 占用太多資源。
3. 注意跨域問題
如果前端和后端不在同一個域名下，Cookie 默認不會被攜帶。需要設置：
app.use(session({ cookie: { domain: '.yourdomain.com', // 如果有多個子域名 sameSite: 'none', secure: true // 必須配合 HTTPS 使用 } }));
同時前端請求時也要加上 withCredentials: true。
四、Session vs JWT，選哪個更好？
這個問題沒有絕對答案，取決于項目需求。
| 對比項 | Session | JWT |
|---|---|---|
| 安全性 | 較高（ID 不暴露敏感信息） | 依賴簽名，容易泄露敏感信息 |
| 性能 | 依賴數據庫查詢 | 無需查庫，性能更高 |
| 擴展性 | 多節點部署需共享存儲 | 天然支持分布式 |
| 適合場景 | 中小型 Web 應用 | 移動端、API 接口、微服務 |
如果你只是做一個后臺管理系統或者博客類網站，Session 足夠用了。如果是 API 服務或前后端分離比較徹底的項目，可以考慮 JWT。
基本上就這些，Session 登錄機制雖然看起來簡單，但細節上還是有很多要注意的地方，特別是部署和安全性方面。只要配置得當，它依然是非常實用的認證方式。
